Visudo su Linux: modificare sudoers senza perdere i privilegi di root

/etc/sudoers .

Non modifico mai i file sudoers con un editor avviato direttamente sul file. visudo

Visudo controlla la sintassi di sudoers prima di salvare, ma una seconda sessione root rimane essenziale su un server remoto.

Verifica l’accesso sudo prima di modificare una regola.

sudo -v
sudo -l
id
gruppi

Convalida le informazioni di autenticazione senza eseguire un comando sensibile. sudo -l Mostra le regole effettivamente applicate all’account. Se questo passaggio non va a buon fine, non modificare i sudoers da questa sessione.

Successivamente, apri un secondo terminale e mantieni una sessione root al suo interno:

sudo -i
Chi
w

Account e gruppi Linux può aiutarti a confermare l’account di destinazione prima di concedergli i privilegi.

Salva sudoers senza modificarne i permessi.

Prima di modificare, copiare il file principale in una cartella riservata a root. L’opzione conserva, in particolare, il proprietario, il gruppo e la modalità:

sudo cp -a /etc/sudoers "/root/sudoers.backup-$(date +%F-%H%M)"
sudo stat -c '%A %a %U:%G %n' /etc/sudoers /etc/sudoers.d

Su molte distribuzioni, /etc/sudoers appartiene a radice: radice con una modalità quattrocentoquaranta

Modifica il file principale con visudo

Per aprire la configurazione principale, è sufficiente avviare:

sudo visudo

Una regola sudoers in genere segue questa logica: utente o gruppo, host coinvolti, identità di esecuzione e quindi comandi autorizzati. Per autorizzare l’account Alice Per riavviare e controllare solo Nginx, verificare prima il percorso del file eseguibile:

comando -v systemctl

Se il comando ritorna /usr/bin/systemctlLa regola può assumere questa forma:

alice ALL=(root) /usr/bin/systemctl is-active nginx, /usr/bin/systemctl restart nginx

Non utilizzare NOPASSWD Per abitudine. Per l’automazione, limitala a un singolo account, a un singolo comando e ad argomenti controllati. Una regola generica che concede l’accesso a una shell, a un editor o a un comando in grado di avviare altri programmi equivale spesso a concedere l’accesso completo come root.

Crea un file pulito in /etc/sudoers.d

Per una regola specifica di un reparto o di un team, preferisco un frammento separato rispetto al file principale di grandi dimensioni. Aprilo con l’opzione -F :

sudo visudo -f /etc/sudoers.d/administration

Scegli un nome semplice, senza spazi, punti o caratteri di salvataggio, come ad esempio ~Secondo la direttiva @includedir Utilizzati dalla distribuzione, alcuni nomi potrebbero essere ignorati. Dopo la registrazione, verificare il proprietario e la modalità:

sudo chown root:root /etc/sudoers.d/administration
sudo chmod 0440 /etc/sudoers.d/administration
sudo stat -c '%A %a %U:%G %n' /etc/sudoers.d/administration

Il tutorial generale su sudo su Linux Il documento descrive in dettaglio la delega da parte di utenti, gruppi e alias. In questo caso, l’obiettivo rimane più circoscritto: installare una regola verificabile senza perdere la possibilità di ripristinare la versione precedente.

Conferma l’intera configurazione prima di eseguire il test.

Una volta completata la modifica, esegui un controllo completo. Questo comando verifica il file principale e i file inclusi a cui fa riferimento:

sudo visudo -c

Il risultato dovrebbe indicare che i file analizzati sono sintatticamente corretti. Se viene segnalato un frammento, riaprire esattamente quel file con Non riavviare la macchina né chiudere la sessione root mentre il controllo non riesce.

Dalla sessione root mantenuta, visualizzare quindi i diritti dell’account di destinazione:

sudo -l -U alice

Questa lettura consente di identificare una regola non caricata, un nome utente errato o un’autorizzazione molto più ampia del previsto.

Apri un terzo accesso con l’account in questione. Non utilizzare semplicemente la sessione che ha già un ticket sudo memorizzato nella cache. Invalida questa cache, richiedi l’elenco dei privilegi e quindi esegui solo il comando autorizzato:

sudo -k
sudo -v
sudo -l

Verifica inoltre che un comando imprevisto venga comunque rifiutato. Una regola è corretta se l’utente mantiene l’accesso previsto senza ottenere privilegi superiori al necessario. Chiudi la sessione di backup come root solo dopo questo test.

Se visudo -c Se l’operazione fallisce, correggi il frammento difettoso dalla sessione root ancora aperta. Per ripristinare il file di salvataggio principale, sostituisci il percorso con il tuo backup effettivo:


visudo -c

sudo journalctl -t sudo -b --no-pager
sudo tail -n 100 /var/log/auth.log

Là pagina del manuale di Visudo documenta il blocco, il controllo e l’opzione -F. Documentazione sudditori(5) visudoconvalida globale, quindi test in una nuova sessione.